Ledger 指東南亞經銷商 CryptoBilis 相關安全事件，估算損失接近 9,000 萬美元

【ChainCatcher】硬件錢包供應商 Ledger 再度通報安全事件。多間第三方保安機構初步估算，事件造成的資金損失接近 9,000 萬美元。 Ledger 表示，正就一批經其東南亞授權經銷商 CryptoBilis 售出的裝置所引發的財務損失展開調查，並已要求該經銷商即時暫停所有銷售及出貨。Ledger 建議，過去 90 日內透過上述渠道購買裝置的用戶提高警覺，並考慮把資產轉移至其他錢包。 公司指出，事件根本原因仍未確認，但目前跡象指向供應鏈可能遭入侵或裝置在流通環節被人動手腳。 回顧 Ledger 過往較受關注的保安事故與損失概況： - 2018 年：硬件及供應鏈安全早期弱點被揭示。研究人員展示 Nano S 裝置有機會在出貨前被篡改，亦包括 MCU bootloader 繞過、隔離設計缺陷，以及注入比特幣找續地址等攻擊手法。Ledger 其後發出安全通告並推出修補；相關多屬研究級漏洞，一般需要實體接觸裝置方可利用。 - 2020 年：大規模客戶資料外洩。攻擊者利用第三方 API 金鑰及與 Shopify 相關的漏洞，取得電商及市場推廣資料庫存取權，導致逾 100 萬個電郵地址外洩，並有約 272,000 至 292,000 筆較完整客戶資料外流（包括姓名、地址及電話）。硬件錢包及私鑰未受影響，但事件引發長期釣魚、社交工程及冒充官方通訊的詐騙。 - 2023 年 12 月：Ledger Connect Kit 遭供應鏈攻擊。前員工誤中釣魚後，其 NPMJS 帳戶被入侵，攻擊者發布惡意版本 Connect Kit，向使用該函式庫的 DApp 注入惡意程式碼，誘導用戶簽署欺詐交易。攻擊窗口約兩小時，損失約 48 萬至 60 萬美元。Ledger 硬件及 Ledger Live 本身未被直接入侵。 - 2026 年 1 月：第三方 Globale 訂單資料外洩。支付及物流合作夥伴系統遭未經授權存取，令部分 Ledger.com 訂單資料外流（包括姓名、地址及聯絡資訊）。Ledger 自身系統及私鑰未受影響，但釣魚風險再度上升。 - 2026 年 4 月：App Store 出現偽冒 Ledger Live 應用程式。假 App 上架約一周，誘騙用戶輸入助記詞；逾 50 名受害者在多條區塊鏈合共損失約 950 萬美元。其後 Apple 移除相關 App，Ledger 重申從不會要求用戶提供 24 字助記詞。 - 2026 年 8 月：披露與 Ethereum 應用簽署相關漏洞，包括指令交錯引致顯示內容與簽署參數不一致、以及 clear-signing 繞過等。漏洞需配合惡意主機方可利用；Ledger 表示當時未見實際用戶被利用跡象，並已在較新版本修補。 Ledger 指，2026 年 10 月 9 日發生與 CryptoBilis 渠道相關的大規模錢包資金被轉走事件，估算損失接近 9,000 萬美元。公司相信事件或屬針對單一分銷渠道的供應鏈或裝置篡改攻擊，現已暫停該渠道銷售，並呼籲受影響用戶盡快遷移資產。